Un acteur mena\u00e7ant avec un lien pr\u00e9sum\u00e9 avec la Chine a \u00e9t\u00e9 li\u00e9 \u00e0 une s\u00e9rie d’attaques d’espionnage aux Philippines qui s’appuient principalement sur des p\u00e9riph\u00e9riques USB comme vecteur d’infection initial.<\/p>\n
Mandiant, qui fait partie de Google Cloud, suit le cluster sous son surnom non cat\u00e9goris\u00e9 UNC4191<\/strong>. Une analyse des artefacts utilis\u00e9s dans les intrusions indique que la campagne remonte \u00e0 septembre 2021.<\/p>\n “Les op\u00e9rations UNC4191 ont affect\u00e9 une gamme d’entit\u00e9s des secteurs public et priv\u00e9 principalement en Asie du Sud-Est et s’\u00e9tendant aux \u00c9tats-Unis, en Europe et \u00e0 l’APJ”, ont d\u00e9clar\u00e9 les chercheurs Ryan Tomcik, John Wolfram, Tommy Dacanay et Geoff Ackerman. a dit<\/a>.<\/p>\n “Cependant, m\u00eame lorsque les organisations cibl\u00e9es \u00e9taient bas\u00e9es dans d’autres endroits, les syst\u00e8mes sp\u00e9cifiques cibl\u00e9s par l’UNC4191 se sont \u00e9galement av\u00e9r\u00e9s physiquement situ\u00e9s aux Philippines.”<\/p>\n Le recours \u00e0 des cl\u00e9s USB infect\u00e9es pour propager le logiciel malveillant est inhabituel, voire nouveau. Le ver Raspberry Robin, qui a \u00e9volu\u00e9<\/a> dans un service d’acc\u00e8s initial pour les attaques ult\u00e9rieures, est connu pour utiliser des cl\u00e9s USB comme point d’entr\u00e9e.<\/p>\n La soci\u00e9t\u00e9 de renseignement sur les menaces et de r\u00e9ponse aux incidents a d\u00e9clar\u00e9 que les attaques avaient conduit au d\u00e9ploiement de trois nouvelles familles de logiciels malveillants appel\u00e9es MISTCLOAK, DARKDEW, BLUEHAZE et Ncat<\/a>ce dernier \u00e9tant un utilitaire de mise en r\u00e9seau en ligne de commande utilis\u00e9 pour cr\u00e9er un shell invers\u00e9 sur le syst\u00e8me victime.<\/p>\n MISTCLOAK, pour sa part, est activ\u00e9 lorsqu’un utilisateur branche un p\u00e9riph\u00e9rique amovible compromis sur un syst\u00e8me, agissant comme une rampe de lancement pour une charge utile crypt\u00e9e appel\u00e9e DARKDEW qui est capable d’infecter les lecteurs amovibles, prolif\u00e9rant efficacement les infections.<\/p>\n “Le logiciel malveillant se r\u00e9plique en infectant de nouveaux lecteurs amovibles connect\u00e9s \u00e0 un syst\u00e8me compromis, permettant aux charges utiles malveillantes de se propager \u00e0 d’autres syst\u00e8mes et potentiellement de collecter des donn\u00e9es \u00e0 partir de syst\u00e8mes isol\u00e9s”, ont expliqu\u00e9 les chercheurs.<\/p>\n Le compte-gouttes DARKDEW sert en outre \u00e0 lancer un autre ex\u00e9cutable (“DateCheck.exe”), une version renomm\u00e9e d’une application l\u00e9gitime et sign\u00e9e connue sous le nom de “Razer Chromium Render Process” qui invoque le malware BLUEHAZE.<\/p>\n BLUEHAZE, un lanceur \u00e9crit en C\/C++, fait avancer la cha\u00eene d’attaque en d\u00e9marrant une copie de Ncat pour cr\u00e9er un shell invers\u00e9 vers une adresse de commande et de contr\u00f4le (C2) cod\u00e9e en dur.<\/p>\n “Nous pensons que cette activit\u00e9 pr\u00e9sente les op\u00e9rations chinoises pour obtenir et maintenir l’acc\u00e8s \u00e0 des entit\u00e9s publiques et priv\u00e9es \u00e0 des fins de collecte de renseignements li\u00e9s aux int\u00e9r\u00eats politiques et commerciaux de la Chine”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n![\"Pirates](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1669852835_825_Des-pirates-informatiques-chinois-utilisant-des-peripheriques-USB-pour-cibler.png\" "\\"Pirates")
<\/div>\n![\"Pirates](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1669852836_705_Des-pirates-informatiques-chinois-utilisant-des-peripheriques-USB-pour-cibler.png\" "\\"Pirates")
<\/div>\n